Le document aborde l'évolution nécessaire des infrastructures de sécurité en entreprise, mettant l'accent sur la gestion des identités et des accès dans un environnement nuageux et mobile. Il présente des solutions comme le Forgerock Open Identity Stack pour répondre aux nouveaux enjeux de sécurité et recommande l'adoption d'API REST avec OAuth2 pour une intégration flexible. Janua, une société de consulting, se positionne comme partenaire d'expertise dans ce domaine, proposant des services basés sur l'open source.

1. SÉCURITÉ POUR LES
–
ENTREPRISES DANS
–
UN MONDE NUAGEUX
–
ET MOBILE
Sophia-Antipolis 01/07/2013
Cyril Grosjean
cgrosjean@janua.fr
0950 677 462

2. Cyril Grosjean
- Directeur technique de Janua depuis 2004
•
Expert en gestion des identités
• Contrôle d'accès, sécurité, PKI
• SSO, Fédération
• Provisioning
• Annuaires
- Consultant des services professionnels chez Netscape
puis Sun pendant 6 ans

3. Agenda
•
•
•
•
Un monde qui bouge
ForgeRock Open Identity Stack
Les standards qui émergent
Une vision d’architecture

4. Avant: une sécurité monolithique
●
●
●

5. Aujourd'hui: des besoins d'accès multiples
●
●
●

6. Accélération des
moyens de
communication

7. Source: Rapport Forrester “Navigate the future of Identity and Access Management” 2012
Le cloud

8. Source: Rapport Forrester “Navigate the future of Identity and Access Management” 2012
La mobilité

9. Le social

10. Revoir l’infrastructure de sécurité
• Besoin d’une gestion des identités distribuée,
dynamique et capable d’une grande échelle.
• Peut-on faire confiance:
• à un utilisateur ?
• à un appareil ?
• Arrêter la prolifération des mots de passe.

11. Les solutions existent
• ForgeRock Open Identity Stack
• Une solution open source
• Ecrite en Java
• Issue des projets de Sun Microsystems
• Janua: partenaire de Forgerock
• Conseil
• Expertise
• Intégration, développement

12. Open
Identity
Stack

13. OpenAM: Authentification et contexte
• Qui est qui ?
• Authentification
• simple
• à facteurs multiples
• variant en fonction du contexte
• Une application ne peut pas tout prévoir.
• Autant déléguer à un service d’authentification:
• OpenAM : 19 modules d’authentification disponibles

14. •Une fois authentifié, on peut:
• Réutiliser le cookie
• Faire de la fédération entre sites
•SAMLv2
• Permet l’échange d’attributs
• Véhicule les autorisations
• Anonymité possible
•WS-Federation
•Single Sign Out
OpenAM:
SSO et
fédération

15. OpenAM: Autorisations
• Qui peut faire quoi ?
• Centralisée :
• L’entreprise établit des règles sur qui peut faire quoi
• XACML
• Déléguée:
• Le proprietaire d’une ressource, autorise une application à y
accéder.
• RBAC

16. OpenIDM: Gestion des identités

17. OpenDJ: Stockage des identités
• LDAP, standard de facto
• Capacité en volume et en performances
• Haute disponibilité
• OpenDJ 2.6 proposera un service “REST to LDAP”
• Nombreuses fonctionnalités
• Support des derniers standards LDAP
• Evolutif (architecture modulaire, développé en Java)

18. Des standards emergent
SCIM
System for
Cross-domain
Identity
Management

19. • Système d’autorisation déléguée
• Authentification à 3 tiers
• Protection des ressources REST
• Pour le mobile, autoriser une application à accéder
à un service.
• Persistent

20. • Basé sur OAuth2
• S’inspire de SAMLv2 mais
• REST / Json vs SOAP / XML

21. SCIM
• Standard de gestion d’identité pour les applications cloud,
les services
• Schéma standard de représentation des utilisateurs, des
groupes et des opérations de provisioning (CRUD)
• Les plateformes SaaS:
• Besoin de provisionner les utilisateurs et leurs roles
• Des fois automatiquement
• Par des interfaces propriétaires
• Maintenant à l’IETF, supporté par OpenIDM et OpenDJ

22. Services REST
• Representational State Transfer
• Modèle d'architecture logique
• Les Services Web / SOAP
• Problèmes de performance
• Problème de SPOF (Single Point of Failure)
• Focus sur REST
• Une approche plus “Internet”
• Supportés par de nombreux langages

23. IAM sous forme d’API
• Couche d’API REST pour les services
IAM
• Applicable à toutes les applications
• Découplage quoi / comment
• OAuth2 pour protéger l’accès
Internet
/authentifier /autoriser
/logout /users ...
Infrastructure IAM

24. Conclusion
L’architecture de sécurité
des entreprises doit évoluer:
•
•
•
Un service IAM
Accessible par API REST
Avec OAuth2

25. Qui sommes nous ?
●
●
●
●
●
●
Société de consulting et de services en logiciels libres (SS2L)
fondée en 2004 à Sophia Antipolis après 15 ans chez Sun
Notre métier : l'Expertise
Nos domaines techniques de prédilection : Gestion des identités
(IAM) en Open Source, Open Data et couches basses des
infrastructures DataCenter.
Nos prestations : Consulting, Intégration, Accompagnement et
développement au forfait.
Notre approche : les processus itératifs, les maquettes (POC) et
l'utilisation des méthodologies dites "Agiles".
Notre « philosophie/éthique » : l'Open Source et l'humain..